概要
CMS プラットフォーム Craft CMS（バージョン 5.5.0〜5.9.13）の FieldsController::actionRenderCardPreview() メソッドが、POST パラメーター fieldLayoutConfig を Component::cleanseConfig() でサニタイズせずに Fields::createLayout() に渡しています。認証済みの管理者ユーザーが Yii2 のイベントハンドラ（'on init' キーなど）を注入することで、サーバー上で任意の PHP コードを実行できます。環境変数（データベース認証情報、CRAFT_SECURITY_KEY など）の漏洩にもつながります。
権限が管理者（admin）に限定されているため CVSS は 7.2 ですが、allowAdminChanges が有効な環境では深刻度が高まります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 7.2 (HIGH) |
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | High |
| User Interaction | None |
| Scope | Unchanged |
| Confidentiality | High |
| Integrity | High |
| Availability | High |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| craftcms/cms | Pixel & Tonic | >= 5.5.0, <= 5.9.13 |
修正バージョンと回避策
- 修正バージョン: Craft CMS 5.9.14 以降
- 回避策:
allowAdminChangesをfalseに設定する（本番環境での推奨設定）
関連リンク
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。